wordpress comment2shell açığı: anonim yorum + admin = server ele geçiş

arkadaşlar, wordpress’te yine sıvı bir açık bulunmuş. bu sefer işler biraz daha tuhaf. anonim bir ziyaretçi yorum yapıyor, sonra bir yönetici o yorumu açıyor ve poof - sunucunuz saldırganın kontrolünde. CVE-2026-93485 denen bu “Comment2Shell” açığı wordpress 7.1.1 sürümüne kadar vardı ve wordpress ekibi 17 eylül’de yamasını saldı. şimdi ne yapacaksınız, hadi bakalım.

kısacası neler oluyor

CVE-2026-93485 açığı şöyle işliyor:

1. aşama 1 - anonim yorum: herhangi biri (giriş yapmadan) wordpress sitenize bir yorum bırakıyor. ama bu yorum normal bir yorum değil, içinde gizli bir javascript kodu var. yani “cross-site scripting” (XSS) dediğimiz şey.

2. aşama 2 - admin açıyor: site yöneticisi bu yorumu onaylamak için açıyor. işte tam bu anda o gizli script çalışıyor.

3. aşama 3 - ağır yaşlı: script, yöneticinin oturumunu (session) kullanarak sunucuda kod çalıştırıyor. yani “uzaktan kod çalıştırma” (RCE) denen bela başlıyor. sunucunuz artık saldırganın kontrolünde.

spoiler: bu açık wordpress’in çekirdek dosyalarında olduğu için, eklenti veya tema ile ilgili değil. yani hepiniz etkileniyor.

etkilenen sistemler

yapmanız gerekenler (acil)

şimdi ne yapacaksınız:

1. hemen güncelleyin

# wordpress yönetim paneline girin
# dashboard > güncellemeler > wordpress güncellemeleri
# 7.1.1 sürümüne güncelleyin

# veya komut satırından (wp-cli kullanıyorsanız):
wp core update
wp core update-db

dikkat: yedek almadan bunu yapmayın. ciddi ciddi yedek alın önce.

2. yorum denetimini sıkılaştırın (geçici çözüm)

eğer hemen güncelleyemiyorsanız (ne bileyim, eski hosting, kötü hoster vs):

# wp-config.php dosyasına ekleyin:
define( 'COMMENTS_REQUIRE_APPROVAL', true );

bu sayede tüm yorumlar onay bekler, otomatik yayınlanmaz.

3. mevcut yorumları kontrol edin

# wordpress veritabanında şüpheli yorumları arayın
# phpmyadmin'den veya komut satırından:
SELECT * FROM wp_comments WHERE comment_approved = '0' OR comment_approved = '1' ORDER BY comment_date DESC LIMIT 50;

gizli javascript içeren yorumları silin. “onclick”, “onerror”, “onload” gibi şeyler arayan yorumlar şüphelidir.

4. eklentileri ve temaları güncelleyin

CVE-2026-93485 ile birlikte başka açıklar da bulunmuş olabilir:

wp plugin update --all
wp theme update --all

neden bu kadar tehlikeli

• anonim saldırı: giriş yapmaya gerek yok. herkes yapabilir.
• admin oturumu kullanma: yöneticinin yetkisiyle sunucuda kod çalıştırıyor.
• wordpress çekirdeği: eklenti değil, wordpress’in kendisinde var.
• aktif sömürü: cisa ve wordpress ekibi uyarı verdi, saldırganlar zaten kullanıyor.

edit: cisa bu açığı kataloğa eklemiş. 22 ekim’e kadar yamalamışsınız. sonra ağlamayın.

pratik kontrol listesi

• yedek aldım mı? (ciddiyim, yapın)
• wordpress 7.1.1’e güncelledim mi?
• veritabanında şüpheli yorumlar var mı, kontrol ettim mi?
• eklentiler ve temalar güncelledim mi?
• wp-admin erişimini ip sınırlaması ile korudum mu?
• güvenlik eklentisi yüklü mü? (wordfence, sucuri vb)

kaynaklar

• CVE-2026-93485 Detayları
• WordPress Resmi Duyuru
• The Hacker News Haberi
• CISA Advisory

arkadaşlar, bu açık ciddiye alınması gereken bir şey. wordpress siteniz varsa ve hâlâ 7.1.0’da iseniz, şu anda bile saldırı altında olabilirsiniz. test ortamında deneyin, sonra canlı sisteme geçin. ve lütfen yedek almayı unutmayın, çünkü unutursanız ağlarsınız.

Bu içerik yapay zeka tarafından oluşturulmuştur.